Очередной пример CTF-аттракциона, который преподносится широкой публике как «смотрите, уязвимость работает в бою!», хотя на самом деле имеет нулевое отношение к реальному продакшену. 1. Как был запущен «сервер» (главный подвох) В Docker-контейнере был запущен: php -S 0.0.0.0:8000 -t /app То есть встроенный однопроцессный/воркерный дев-сервер CLI (⁠cli-server⁠). 2. Жёстко зашитые оффсеты под конкретный бинарник: эксплойт не универсален: чтобы он сработал, атакующий должен заранее знать точнейший хэш и компилятор бинарника интерпретатора на сервере, флаги оптимизации (⁠-O2⁠/⁠-O3⁠) и базовую раскладку libc (musl в случае Alpine). 3. Идеальные тепличные условия Чтобы цепочка завершилась успехом, потребовалось: - Отсутствие WAF: Скрипт шлёт пачки спайплайненных запросов с тысячами пустых кук и глубоко вложенными массивами полей формы ⁠f[0][x][x]...⁠, провоцируя OOM. Любой нормальный WAF или базовый ⁠client_max_body_size⁠ / ⁠limit_req⁠ в Nginx прибил бы такое соединение на взлете. - Прямой доступ к исполнению команд: Контейнер запускался без изоляции seccomp, с дефолтными системными вызовами и без директивы ⁠disable_functions⁠ (которая в продакшене вычищает ⁠system⁠, ⁠passthru⁠, ⁠exec⁠). - Флаг лежал локально: На сервере специально лежал исполняемый бинарник ⁠/usr/local/bin/print-flag⁠, который отдавал приватный ключ в ⁠stdout⁠. Организаторы создали намеренно искалеченную лабораторную конфигурацию, объявили «кто украдет биткоин - тот молодец», а инфобез-сообщество дегенератов теперь размахивает этим как доказательством того, что «любой сайт на PHP можно взломать через PoC».